答案：Linux中通过iptables结合netfilter实现端口转发，需开启IP转发、配置DNAT和SNAT规则，并保存策略。具体步骤为：修改/proc/sys/net/ipv4/ip_forward或sysctl.conf启用转发；使用iptables -t nat -A PREROUTING设置DNAT将外部请求映射到内网主机；在POSTROUTING链添加MASQUERADE或SNAT确保回包正确；最后保存规则至/etc/iptables/rules.v4并配置开机加载，确保网络连通性后转发生效。
Linux系统中配置iptables端口转发，本质是利用netfilter框架中的NAT（网络地址转换）功能，实现将进入本机某一端口的流量转发到内网其他主机。这种技术常用于搭建简易网关、暴露内网服务或实现负载均衡。以下是完整操作流程。
开启内核IP转发功能
在配置规则前，必须确保Linux内核允许数据包转发。该设置位于/proc/sys/net/ipv4/ip_forward文件中。
临时开启（重启失效）：
echo 1 > /proc/sys/net/ipv4/ip_forward
永久生效需修改配置文件：
编辑 /etc/sysctl.conf，确保包含以下行：
net.ipv4.ip_forward = 1
保存后执行 sysctl -p 使配置立即生效。
添加DNAT规则实现端口转发
使用iptables的nat表PREROUTING链，对进入的数据包做目标地址转换（DNAT）。例如：将本机公网IP的2222端口流量转发到内网192.168.1.100的22端口。
命令如下：
- iptables -t nat -A PREROUTING -p tcp --dport 2222 -j DNAT --to-destination 192.168.1.100:22
说明：
- -t nat：指定nat表
- -A PREROUTING：追加规则到PREROUTING链
- -p tcp：协议为TCP（如需UDP则改为udp）
- --dport 2222：外部访问端口
- --to-destination：指定转发目标IP和端口
配置SNAT或MASQUERADE保证回包正确
若目标主机不在同一广播域，或网关非默认路由，需配置源地址转换（SNAT），确保响应能返回防火墙并转发回去。
常见做法是在POSTROUTING链添加MASQUERADE规则：
- iptables -t nat -A POSTROUTING -d 192.168.1.100 -p tcp --dport 22 -j MASQUERADE
或更精确地使用SNAT：
- iptables -t nat -A POSTROUTING -d 192.168.1.100 -p tcp --dport 22 -j SNAT --to-source 本机内网IP
MASQUERADE适用于动态IP环境，SNAT更适合固定IP场景。
保存规则并设置开机加载
iptables规则默认不持久，重启后丢失。需手动保存。
CentOS/RHEL系统：
- service iptables save
或使用：
- iptables-save > /etc/iptables/rules.v4
Ubuntu/Debian系统建议安装iptables-persistent：
- apt install iptables-persistent -y
- iptables-save > /etc/iptables/rules.v4
确保开机自动加载规则。
基本上就这些。确认防火墙未阻断相关端口，且目标主机网络可达，端口监听正常，转发即可生效。
